एपीआय कीज सुरक्षितपणे वापरणे

API की ही एक पासवर्ड है जो कभी समाप्त नहीं होती और जिसे कोई नहीं देखता। इसके साथ वैसा ही व्यवहार करें।

इसे केवल वही दें जिसकी इसे आवश्यकता है

प्रत्येक इंटीग्रेशन के लिए एक की (key) बनाएं, जिसमें केवल वही अनुमतियां हों जिनका उपयोग वह इंटीग्रेशन करता है। डिप्लॉयमेंट स्क्रिप्ट को बिलिंग एक्सेस की आवश्यकता नहीं होती है, और मॉनिटरिंग टूल को साइट्स डिलीट करने की आवश्यकता नहीं होती है। जब कुछ गलत होता है, तो एक सीमित की (narrow key) उसके साथ होने वाली क्षति को सीमित कर देती है।

इसे अपने कोड से दूर रखें

किसी भी की (key) को रिपॉजिटरी में कमिट न करें — चाहे वह पब्लिक हो या प्राइवेट। रिपॉजिटरी फोर्क, क्लोन, बैकअप और गलत तरीके से शेयर की जाती हैं, और स्कैनर पुश करने के कुछ मिनटों के भीतर उनमें की (keys) ढूंढ लेते हैं। एनवायरनमेंट वेरिएबल या अपने CI प्रोवाइडर के सीक्रेट स्टोर का उपयोग करें।

चिंता करने के बजाय रोटेट करें

यदि किसी की (key) को चैट, टिकट, स्क्रीनशॉट या लॉग में पेस्ट कर दिया गया है, तो उसे बदल दें। नई की (key) बनाएं, इंटीग्रेशन को उस पर स्विच करें, फिर पुरानी वाली को डिलीट करें — इसी क्रम में, ताकि बीच में कुछ भी टूटे न। इसमें एक मिनट लगता है और यह संदेह को पूरी तरह से समाप्त कर देता है।

देखें कि वे क्या करते हैं

की (key) द्वारा की गई प्रत्येक कॉल की (key) के नाम के साथ गतिविधि (Activity) में दिखाई देती है। यदि आपको लगता था कि कोई की (key) बंद कर दी गई है लेकिन वह अभी भी कॉल कर रही है, तो यह आपको कुछ ऐसा बताती है जो जानना महत्वपूर्ण है।

डिलीट करना

की (key) डिलीट करना तुरंत प्रभावी होता है। इसका उपयोग करने वाली किसी भी चीज़ को 401 मिलना शुरू हो जाएगा, जो कि इसका उद्देश्य है।